@ Bsaett, vorrei ringraziarti per il duro lavoro di divulgazione fatto in questi giorni.
Quando partiranno le nuove iniziative aggiornaci, visto che la situazione è ormai insostenibile.

Ormai credo di aver capito come adottare soluzioni tecniche (paranoiche quanto questa legge) per quasi tutti i problemi sollevati dalla Cookie Law italiana.
Il dubbio che mi resta (e la soluzione tecnica che mi manca) è nella documentabilità dell'avvenuto consenso.

Dobbiamo creare dei log dei consensi che recepiamo dagli utenti dei siti?
Come facciamo a dimostrare che abbiamo settato un cookie per l'acquisizione del consenso, a fronte di una segnalazione al Garante?
Grazie mille.

@Sideshow said:

Il dubbio che mi resta (e la soluzione tecnica che mi manca) è nella documentabilità dell'avvenuto consenso.

Dobbiamo creare dei log dei consensi che recepiamo dagli utenti dei siti?
Come facciamo a dimostrare che abbiamo settato un cookie per l'acquisizione del consenso, a fronte di una segnalazione al Garante?

Non credo serva, in quanto è replicabile in qualsiasi momento il processo di acquisizione del consenso.
Se c'è o ci sarà qualcuno preposto a controllare un sito, verificherà se i cookie verranno attivato o meno testando entrambe le modalità: assenso / rifiuto del trattamento. In base a questo dovrebbe decidere se multare o meno il meschino...

E' quanto inizialmente avevo capito anche io.

Il problema però è che a quel punto l'eventuale audit del Garante potrebbe accertare solo la sussistenza, nel momento in cui si tiene la verifica, di un corretto sistema di registrazione del consenso. Ma se la delazione dovesse essere riferita, chessò, a qualche mese prima rispetto alla data in cui l'Autorità commissiona la verifica, come dimostrare che (edit: il sito segnalato) era già in regola al momento dell'avvenuta violazione?

Ciao Slideshow, purtroppo la documentabilità dell'evento consenso è la novità dell'ultima intervista del funzionario del Garante. Ogni giorno si svegliano con una novità. Generalmente in sede giudiziaria si considera valido ai fini di prova la documentabilità del corretto funzionamento dello script. Se funziona si presume che abbia funzionato anche in quello specifico caso, fino a prova contraria.
In questo caso il Garante ha detto che occorre documentare l'evento. Come? Non lo ha detto.

@wolgango_amadeo said:

Se sono cookie di terze parti, l'unico modo è quello di rimuovere l'eventuale codice embed. Ci riferiamo in questo caso per esempio a social share button (esempio più comune I like facebook), oppure google maps o un video youtube embeddato. In questo caso se vuoi usare questi servizi non puoi fare a meno dei cookie.

Stesso discorso per cookie di dominio (alcuni registrant li utilizzano) : non puoi rimuoverli.

Se sono legati a funzionalità lato server invece, dovresti rimuovere queste funzionalità (p.e. login o altre funzionalità che registrano lo stato dell'utente).

Fondamentalmente però non ha senso rimuovere nessuno di questi, perchè inficierebbe il senso del sito web.
Ti conviene applicare la normativa e inserire un bel banner con relativa pagina informativa. Se invece proprio non vuoi / puoi ci sono diversi siti che offrono questo servizio (individuando tra l'altro tutti i cookie presenti), non ho idea di quali siano i costi. Se cerchi su google trovi sicuramente, io ne ho in mente uno (il più conosciuto), che però non cito perchè non mi va di fargli pubblicità gratuita

Wolgango GRAZIE! Sei stato molto chiaro e utile.

Mi resta ancora un dubbio: come posso dimostrare ad eventuali clienti che il loro sito andrebbe adeguato? Senza dover far installare addons o plugin... ci vorrebbe un sito che permette di inserire gli url, e premendo INVIO generi elenco di eventuali cookies utilizzati. Conoscete un servizio simile?

@yabeforg said:

Wolgango GRAZIE! Sei stato molto chiaro e utile.

Mi resta ancora un dubbio: come posso dimostrare ad eventuali clienti che il loro sito andrebbe adeguato? Senza dover far installare addons o plugin... ci vorrebbe un sito che permette di inserire gli url, e premendo INVIO generi elenco di eventuali cookies utilizzati. Conoscete un servizio simile?

sulla prima pagina se non erro sono stati indicati diversi servizi online (in questo momento sovraccarichi), cerca su google "cookie online checker" o qualcosa di simile.

Il mio consiglio personale è quello di non insistere con i clienti, ma di segnalare semplicemente la normativa direttamente sul sito del garante, comunicare l'obbligo di adattarsi ad essa ed eventualmente comunicare la propria disponibilità ad intervenire.

@wolgango_amadeo said:

Il mio consiglio personale è quello di non insistere con i clienti,

Quello certamente. Però oltre a contattarli per spiegare la situazione e "discolpandomi" dal fatto di usare cookies... vorrei anche dimostrare che effettivamente il loro sito ha dei cookies, provenienti da terze parti.

Scusatemi per questo piccolo OT, nei miei siti integro sempre [url=http://histats.com]histats.com come contatore delle visite... sapere dirmi se genera Cookie che devono essere segnalati? (L'ho usato [url=http://agadamedical.it]qui)

@bsaett said:

In questo caso il Garante ha detto che occorre documentare l'evento. Come? Non lo ha detto.

Abbastanza inquietante... e mooolto impattante.

@felino said:

Scusatemi per questo piccolo OT, nei miei siti integro sempre histats . com come contatore delle visite... sapere dirmi se genera Cookie che devono essere segnalati? (L'ho usato qui)

se integri un servizio di terze parti quasi certamente userà dei cookie. Perchè non provi ad usare qualcuno degli strumenti segnalati in questa discussione per verificarlo? In questo modo sarai autonomo anche per il futuro

Ciao a tutti, se può essere utile riporto un' intervista al Dott. Luigi Montuori, direttore del Dipartimento comunicazioni e reti telematiche presso il Garante:
alground.com/site/legge-cookie-garante-risponde-esempi/42181 .

Non ho capito una cosa: ma oltre a fare il lavoro del banner e la pagina della privacy policy... bisogna comunicare anche al garante della privacy?

Inoltre... come si fà a "bloccare" i cookie finchè l'utente non acconsente l'utilizzo?? Mi pare una cosa alquanto tecnica da realizzare. Per aggiungere un banner ok, ma mettere in standby del codice è esagerato, non trovate?

@yabeforg said:

Inoltre... come si fà a "bloccare" i cookie finchè l'utente non acconsente l'utilizzo?? Mi pare una cosa alquanto tecnica da realizzare. Per aggiungere un banner ok, ma mettere in standby del codice è esagerato, non trovate?

Nella discussione ci sono tutte le informazioni che ti servono... ricorda però che il tema del thread sono i cookie di terze parti

Come non quotare wolgango_amadeo?

Il focus si sta lentamente allontanando, di chiarimento in chiarimento, dall'interesse dell'Utente.
Da "salvo il cookie con il consenso, onde non costringerlo a ripetere all'infinito che sì, gli piacerebbe proprio vedere la mia stupida mappetta su google map" a "elaboro un registro dei consensi onde potermi difendere dalla paura che ho della legge".
Scusate, capisco che è puro sfogo, ma sono davvero inorridita dal dover nutrire, e non per la prima volta, diffidenza nei confronti di chi dovrebbe tutelarmi.

Vi segnalo, l'ultimo, coloratissimo "chiarmento": garanteprivacy.it/cookie

Analytics di terze parti:

"Se NON sono adottati strumenti che riducono il potere identificativo dei cookie e la terza parte non incrocia le informazioni raccolte con altre di cui già dispone) – vedi punto 2 dei «Chiarimenti in merito all'attuazione della normativa in materia di cookie»"

Vanno

• segnalati con banner
• bloccati preventivamente
• notificati al garante, 150 euro.

Non commento il riferimento ai "chiarimenti", invece che alla normativa.
Ovviamente, se l'anonimizzane non è un problema, quanto riguarda l'impegno della terza parte a non incrociare i dati (almeno nel caso di Google Analytics) potrebbe levarci il sonno.

Il chiarimento chiarisce poco in effetti.
Ma soprattutto, tornando a bomba sull'argomento della discussione, i cookie di terze parti non analitici (social share / video youtube / google maps), come vengono classificati?
Sono cookie di profilazione?
Se sì, e a questo punto temo sia così, significa che vanno bloccati previa consenso. Aiuto allora... davvero!

Per analytics Google non dovrebbe incrociare i dati, perchè ci dice che non lo fa, salvo nostro consenso, quindi se poi dovesse farlo, responsabilità è sua, in quanto la violazione non è commessa da chi usa il servizio. Una volta anonimizzato l'ip, mi pare si possa stare più tranquilli.

Non ho capito niente di niente dal monologo di Sideshow.
Voi avete capito qualcosa?

1. Il garante ha pubblicato una specie di infografica.
2. Non posso linkartela direttamente, ma puoi vederla all'indirizzo garanteprivacy.it/cookie
3. L'infografica spiega che gli analytics di terze parti, se non anonimizzati e non assoggettati a vincoli contrattuali che impediscano alla terza parte di incrociare i dati con altri già in suo possesso vanno notificati al garante.
4. E' difficile ottenere garanzie contrattuali di questo genere quando il rapporto tra le parti è poco paritario (es.: il caso Google Analytics).
5. E' difficile avere la certezza di essere nella legalità.

Tratto dai chiarimenti del garante garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/4006878

"• Gli obblighi si applicano a tutti i siti che installano cookie sui terminali degli utenti, a prescindere dalla presenza di una sede in Italia."

Ma che cosa vuol dire? Se non c'è una sede in Italia, mica il garante può multare un'azienda Russa perchè non ha richiesto il consenso a un utente italiano, altrimenti dovremmo adattarci a tutte le regolamentazioni di tutto il mondo.

Sul fantastico e mirabolante sito del Garante.... da ieri sera esce questo:

[TABLE="width: 95%"]

[TD]Si è verificato un errore di sistema inatteso.

java.lang.NullPointerException

[/TD]
[/TR]
[/TABLE]